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Abstract 



A protected electronic health file for managing all the health-relevant data, including earlier diagnoses and 
treatments, of a patient in the form of data capsules on a number of decentralized servers of a network with 
an access code which can be released by the patient wherein, with every change or addition to a called-up 
data capsule, the old data capsules in the network are erased and a new access code is formed, under 
which the changed data capsule is re-stored again in the network 
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© Sabotagesichere und zensurresistente persdnliche elektronische Gesundheitsakte 
© Gesicherte elektronische Gesundheitsakte zur Verwal- 

tung aller gesundheitsrelevanten Daten, einschliefclich 

fruherer Diagnosen und Behandlungen, eines Patienten 

in mehreren dezentralen Servern mit dem Patienten frei- 

gebbaren Zugangsberechtigungen fur Dritte, wobei die 

Daten ohne jegliche Identifizierungsdaten bezuglich der 

zugeordneten Person indexlos in einem Speichersystem 

mit vernetzten Servern, vorzugsweise verteilt, abgelegt 

sind, das keinen Bezug der Daten zum Patienten herstellt 

und wobei die Daten nur uber Vorrichtungen oder Pro- 
gramme auffindbar und ablegbar sind, die jegliche Zu- 

griffsspuren loschen. 
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Beschreibung 

[0001] Die Erfindung bezieht sich auf eine gesicherte 
elektronische Gesundheitsakte zur Verwaltung aller gesund- 
heitsrelevanten Daten, einschlieBlich friihere Diagnosen und 5 
Behandlungen, eines Patienten in mehreren dezentralen Ser- 
vem mit vom Patientenenten freigebbaren Zugangsberechti- 
gungen fur Dritte. 

[0002] Fur die aktuelle Behandlung eines Patienten ist es 
fur den Behandelnden extrem wichtig, auf moglichst voll- 10 
standige Daten iiber die Krankenvorgeschichte und patien- 
tenspezifische Daten, wie Impfungen, Allergien, Unvertrag- 
lichkeiten usw. zugreifen zu konnen. Vollstandigkeit bedeu- 
tet dabei nicht unbedingt hohe Detaillierung, siehe spater. 
Andererseits sind diese Daten sensibel und diirfen nicht in 15 
falsche Hande gelangen. Neben seinem Gedachtnis verwen- 
det der behandelnde Arzt Aufzeichnungen in Form einer Pa- 
tientenakte und schreibt bei der Uberweisung an einen ande- 
ren Arzt die wichtigsten Daten in ein Oberweisungsschrei- 
ben. In der Praxis wird daraus ein Problem, wenn der Patient 20 
unvorhergesehen an einen neuen Arzt gerat, der aus Zeit- 
oder anderen Griinden keine Moglichkeit hat, an die Daten 
seiner Kollegen zu gelangen. Im Ubrigen stehen diese Daten 
dem Patienten nur beschrankt zur Verfugung, was kiinftig 
zum technischen und juristischen Problem werden konnte, 25 
wenn dem Patienten verschiedene Gesundheitsdienste im 
Netz angeboten werden. 

[0003] Bisher gibt es bereits zahlreiche Vorschlage und 
Testinstallationen, die mittels elektronischer Kommunikati- 
onsmittel dieses Problem zu losen versuchen. Sie basieren 30 
zum einen auf einer personlich bei sich zu tragenden Patien- 
tenakte, zum Beispiel in Form einer elektronischen Chip- 
karte oder zum anderen auf einem zentralen Netzserver, auf 
den jeder Arzt zugreifen konnen soil. Die reine Kartenlo- 
sung, die bereits seit Jahren diskutiert wird und in einigen 35 
Landern eingefuhrt ist, hat dabei die Problematik, dass zum 
einen die Datenmenge nur begrenzt ist, dass keine Verfug- 
barkeit der Daten fiir Teledienste gegeben ist, dass sie nur 
mechanisch in mobile Computing integrierbar ist und dass 
keine Eingabemoglichkeit durch Tastatur, durch Barcodes 40 
oder elektronische Tags zur Verfugung steht. 
[0004] Die vorstehend angesprochene zentrale Patienten- 
akte wird von Netzbefurwortern immer wieder propagiert. 
Dabei ergibt sich zum einen die Schwierigkeit, dass ohne 
einheitliche Daten-Normen eine solche Patientenakte prak- 45 
tisch undurchfuhrbar ist. Dariiber hinaus ergeben sich aber 
auch juristische Probleme zur Daten verwendung, aufwan- 
dige MaBnahmen fiir eine letztlich doch nicht garantierbare 
Sicherheit und dadurch die Gefahr eines Verlustes der Daten 
durch Sabotage sowie des Missbrauchs der Daten. Auch 50 
eine bereits probeweise eingefuhrte Einstellung privater Ak- 
ten bei Providern im Internet kann das angesprochene Pro- 
blem nicht losen, da sowohl eine unkontrollierbare Daten- 
weitergabe zu befurchten ist, die Privatheit der Daten nicht 
garantiert ist und die Daten auch in vielen Fallen untereinan- 55 
der inkompatibel sind. 

[0005] Der Erfindung liegt daher die Aufgabe zugrunde, 
eine gesicherte elektronische Gesundheitsakte zu schaffen, 
die sabotagesicher und zensurresistent ist und eine erhohte 
Sicherheit gegen unbefugte Weitergabe oder unbefugte Be- 60 
nutzung der Daten beinhaltet. 

[0006] Zur Losung dieser Aufgabe ist erfindungsgemaB 
vorgesehen, dass die Daten ohne jegliche Identifizierungs- 
daten bezuglich der zugeordneten Person indexlos in einem 
Speichersystem mit vernetzten Servern abgelegt sind, das 65 
keinen Bezug der Daten zum Patienten herstellt und dass die 
Daten nur iiber Vorrichtungen oder Programme auffindbar 
und ablegbar sind, die jegliche ZugrifFsspuren loschen. 
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[0007] Die Daten sollen dabei bevorzugt in Form von hier 
sogenannten Datenkapseln mit gegebenenfalls unterschied- 
lichen Zugriffcodes im Speichernetzwerk gespeichert sein, 
wobei dieses Speichernetzwerk ein iiberall verfugbares 
Netzwerk nach Art des Internet sein soil, in dem gegebenen- 
falls ein zensurresistentes Extranetz wie das sogenannten 
"freenet" zur Speicherung der Daten ausgebildet sein kann. 
Dieses "freenet" kann im Internet durch eine zertifizierte 
Software jedem zur Verfugung gestellt werden, wobei diese 
zertifizierte Software garantiert, dass sie auBer den beschrie- 
benen Funktionen keine Hinterturen besitzt, die den illega- 
len Zugriff zu den Daten ermdglichen konnte. 
[0008] Das angesprochene Extranetz im Internet kann da- 
bei so ausgebildet sein, dass die Daten-Kapseln selbstorga- 
nisiert an unterschiedliche Server weitervermittelt und 
mehrfach identisch abgespeichert werden, sodass sich dabei 
moglicherweise auftretende Spuren verlieren und nicht zu- 
riickverfolgbar sind. Dariiber hinaus hat diese mehrfache 
Abspeicherung - wobei der Patient durch Parameterisierung 
eines Zahlers die Zahl der identischen Sicherheitskopien be- 
stimmen kann - den Vorteil, dass der zufallige Absturz eines 
Speichers, der eine der anonymisierten Daten-Kapseln der 
elektronischen Gesundheitsakte enthalt, nicht zu einem Ver- 
lust dieser Daten fuhrt, da ja die Mehrzahl der Sicherungs- 
kopien - selbst nach mehrfacher Verteilung im Speichernetz 
- nicht auf dem gleichen Server abgelegt sein kann. 
[0009] Unabhangig davon, dass eine solche Daten-Kapsel 
ja sowieso nur mithilfe des beliebig kompliziert aufbauba- 
ren Zugangscodes gelesen werden kann, den nur der Patient 
hat und den er dritten, wie Arzten, Dienstleistern, Kranken- 
kassen oder dergleichen nur in Ausnahmefallen und dariiber 
hinaus moglicherweise auch nur im beschrankten Umfang 
zur Verfugung stellt, kann zur zusatzlichen Absicherung 
noch vorgesehen sein, dass die Daten verschliisselt gespei- 
chert sind, wobei zur Verschliisselung einer Kapsel bevor- 
zugt ein asymmetrischer Schliissel verwendet wird mit ei- 
nem offentlichen Schliissel des Patienten zum Verschlusseln 
der Patientenakte und einem privaten Schlussel des Patien- 
ten zum Entschlusseln, wobei der private Schlussel oder das 
Schliisselpaar weiterer Bestandteil der personlichen Berech- 
tigungsinformation, also des personlichen Zugriffscodes fiir 
das Lesen des Inhalts einer Datenkapsel darstellen. 
[0010] Die Zugriffscodes konnen in weiterer Ausgestal- 
tung der Erfindung eine Hash- Adresse umfassen, die aus ei- 
nem, aus definierten Bestandteilen der Patientendaten bebil- 
deten Hash-Code und einem weiteren Zeichen zur Erzeu- 
gung einer eindeutigen Adresse gebildet ist. Statt eines sol- 
chen erganzten Hash-Algorithmusses konnen selbstver- 
standlich aber auch andere gleichwertige Verfahren zur Bil- 
dung einer unverwechselbaren Adresse verwendet werden. 
Diese Adresse kann so lange wie gewiinscht beibehalten 
werden, auch bei Veranderung des Inhalts der Gesundheits- 
akte. 

[0011] GemaB einem weiteren Merkmal der vorliegenden 
Erfindung kann vorgesehen sein, dass die Inhalte der Daten- 
kapseln durch spezielle Unter-Zugriffscodes von entspre- 
chend autorisierten Dritten, zum Beispiel Arzten, Dienstlei- 
stern, Pharmafirmen, Krankenkassen oder dergleichen in be- 
grenztem Umfang lesbar sind, wobei hierfur bevorzugt Zu- 
gangseinrichtungen vorgesehen sind, die es ermoglichen, 
bestimmte Teile der Daten als Statistikdaten zu extrahieren, 
zu erganzen, zu kombinieren und zu schematisieren. 
[0012] Die anonymisierten Statistikdaten sollen dabei zur 
weiteren Verwendung, insbesondere fiir den Abruf durch 
Pharmafirmen oder Krankenkassen, die hierfur dem autori- 
sierenden Patienten gewisse Vorteile oder Vergiitungen zu- 
kommen lassen, in - auf Veranlassung des Patienten - spe- 
zielle Statistik-Kapseln eingegeben und gespeichert werden, 
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die mit einer global geltenden Kapseladresse versehen sind. 
Es bedarf also keiner Freigabe des eigentlichen Zugriffsco- 
des zu alien Daten der personlichen Gesundheitsakte des Pa- 
tienten urn diese Statistikfunktionen mit erftillen zu konnen. 
[0013] Der oder die Zugriffscodes konnen dabei gemaB 5 
einem weiteren Merkmal der vorliegenden Erfindung in spe- 
zielle, vorzugsweise tragbare Zugangsgerate, implementiert 
sein, wie beispielsweise eine Chipkarte, ein Handy, eine 
Uhr, ein Amulett oder dergieichen, sie konnen aber auch in 
einen offentlichen Zugangsgegenstand, also beispielsweise 10 
ein Netzportal oder dergieichen eingegeben werden. Das 
Zugangsgerat kann dabei in an sich bekannter Weise durch 
ein Authentifizierungssystem gesichert sein, wie beispiels- 
weise durch eine PIN-Nummer, um bei Verlust des Zu- 
gangsgerates einem Missbrauch vorzubeugen. 15 
[0014] Um einen vollstandigen Daten verlust im Falle ei- 
nes Verlustes einer Kapseladresse zu vermeiden, kann in 
weiterer Ausgestaltung der Erfindung auch vorgesehen sein, 
dass zumindest Teile der Patientenakten in Ablagevorrich- 
tungen bei den Arzten, Dienstleitern oder dergieichen, gege- 20 
benenfalls auch nur teilweise fur diese lesbar, gespeichert 
sind, die ftir den Patienten zuganglich sind, um im Falle des 
Verlustes einer Kapseladresse eine Rekonstruktion einer 
neuen Daten- Kapsel aus diesen Kopien zu ermoglichen. 
[0015] Die wichdgen Gesundheitsinformationen, die in 
einer erfindungsgemaBen sabotagegesicherten und zensurre- 
sistenten personlichen elektronischen Gesundheitsakte si- 
cher und doch fur vielfaltige Gesundheitsanwendungen ab- 
rufbar gespeichert sein sollen, umfassen zum einen langfri- 
stige, im Interesse des Patienten geheimzuhaltenden Infor- 
mationen, also alle jene historischen bis aktuellen Daten so- 
wie Spekulationen und Ratschlage, die fur eine jedwede zu- 
kunftige Beratung oder Behandlung als bedeutungsvoll er- 
achtet werden, Dazu gehoren Anamnese, Befunde, Ab- 
schlussberichte sowie Belege Medizinischer Stadien, wie 
Fotos, diagnostische Bilder, Videos und Tondokumente. Hy- 
pothesen, Zwischenschritte, Irrwege, negative Befunde und 
so weiter sind nur in ihrem Ergebnis und gemaB ihrer vor- 
aussichtlichen zukiinftigen Bedeutungen, nicht aber in alien 
Einzelheiten zu vermerken. Dabei kann ein Teil dieser Da- 
ten direkt auf dem personlichen Zugangsgerat zusatzlich zu 
den personlichen Berechtigungsinformationen lokalisiert 
sein (z. B. Notfalldaten) und/oder als Zeiger, das heiBt als 
spezielle Adresse, ausgebildet sein, iiber den man ohne Bar- 
rieren direkt iiber das iiberall verfugbare Netzwerk mithilfe 
dessen die erfindungsgemaBe Gesundheitsakte realisiert 
wird - zum derzeitigen Zeitpunkt ware dies speziell das so- 
genannte Internet - an diese Daten gelangt. 
[0016] Zum anderen handelt es sich um kurzfristige ver- 
trauliche Daten, wie Behandlungsdaten, Verschreibungen, 
Messwerte, Beobachtungen, Ratschlage usw, die nach eini- 
ger Zeit ausgewertet oder erledigt sind und geloscht werden. 
Die daraus resultierenden Daten werden in angemessenen 
Abstanden zum Bestand der langfristigen Daten hinzuge- 
fugt. Fiir kurzfristige und langfristige Daten konnen dabei - 
wie es bereits weiter oben vorgeschlagen worden ist - unter- 
schiedliche Kapseln mit unterschiedlichen Hash-Adressen 
verwendet werden, wobei beide Hash-Adressen mithilfe ein 
und desselben individuellen Zugangsgerats oder auch mit 
unterschiedlichen, voneinander getrennten Zugangsgeraten 
erreicht werden konnen. Die Auswahl erfolgt im ersteren 
Fall mittels Bediensoftware oder mittels einer Konfigurati- 
onsmoglichkeit auf dem individuellen Zugangsgerat. 
[0017] Zusammenfassend ist also festzuhalten, dass die 
erfindungsgemaBe elektronische Gesundheitsakte durch Da- 
tenstrukturen gekennzeichnet ist, sodass die Daten nur in 
dem Umfang gelesen werden konnen, wie der Nutzer 
Rechte dazu dem Patienten gegenuber ausweisen kann. Der 
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Patient kann selbst auch alle Teile der Akten lesen, sofern er 
auf einen psychologischen Schutz vor schockierenden Da- 
ten verzichtet und hat auch Bereiche in denen er schreiben, 
also Daten verandern, kann. Die bekannte Professional-Card 
erlaubt den Arzten ebenfalls nur Zugriffe auf bestimmte 
Teile. Aufgrund doppelter (mehrfacher) Verschliisseiung 
bleiben ihm aber Teile unlesbar (sogenanntes Rollenkon- 
zept). Der Patient kann auch mehrere Kapseln definieren 
und entscheiden, zu welchen er wem Zugang gewahrt. Das 
Rollenkonzept kann iiber Schlussel oder andere Zugriffsbe- 
schrankungen realisiert werden. 

[0018] Weitere Vorteile, Merkmale und Einzelheiten der 
Erfindung ergeben sich aus der weiteren Beschreibung eini- 
ger Ausfuhrungsbeispiele sowie anhand der Zeichnung. Da- 
bei zeigen: 

[0019] Fig. 1 Eine schematische Darstellung der Organi- 
sation einer erfindungsgemaBen gesicherten personlichen 
Gesundheitsakte im Internet, 

[0020] Fig. 2 eine Darstellung der personlichen Gesund- 
heitsakte fur die private Bearbeitung durch den Patienten, 
[0021] Fig. 3 eine der Fig. 2 entsprechende Darstellung 
der Bearbeitungsmoglichkeiten der personlichen Gesund- 
heitsakte durch den Arzt, 

[0022] Fig. 4 eine Darstellung der Dokumententypen der 
Gesundheitsakte mit einem Beispiel fiir die Aufteilung der 
Informationen auf verschiedene Kapseln mit unterschiedli- 
chen Hash-Adressen, 

[0023] Fig. 5 den Ablauf einer Behandlung, Uberweisung 
und Rezeptstellung mit Karte und Patientenakte im Internet 
unter Verwendung einer erfindungsgemaBen gesicherten 
Gesundheitsakte und 

[0024] Fig. 6 Aufbau und Organisation einer personlichen 
Zugangskarte zur intemetpassierten erfindungsgemaBen Ge- 
sundheitsakte. 

[0025] Die Fig. 1 zeigt schematisch den Aufbau einer sa- 
botages icheren und zensurresistenten personlichen Gesund- 
heitsakte, die den Patienten zum Eigentumer der ihm zu- 
ganglichen Daten macht, wobei die Gesundheitsakte eine 
oder mehrere dezentrale indexfreie Kapseln im Internet um- 
fasst. In den Fig. 2 und 3 sind die verschiedenen Moglich- 
keiten des Einspeichems und Auslesens in oder aus der im 
Internet gespeicherten Gesundheitsakte einmal fiir den Pa- 
tienten selbst und einmal als Ausfuhrungsbeispiel eines zu- 
gelassenen Nutzers durch den Arzt dargestellt, wobei die 
Authentifizierung und die Hash-Adresse, die grundsatzlich 
auf verschiedenartigen Zugangsgeraten angeordnet sein 
kann, wie beispielsweise einem Handy, einer Uhr, einem 
Amulett, einem elektronischen Etikett in Form eines Trans- 
ponders, einem Barcodeleser oder durch Codeeingabe per 
Tastatur, wie im gezeigten Ausfuhrungsbeispiel anhand ei- 
ner Chipcard realisiert ist, die in ihrem Aufbau und in ihrer 
Datenorganisation und noch etwas genauer dargestellt ist. 
So kann die personliche Gesundheitsakte vom Arzt gemaB 
Fig. 3 wie folgt verwendet werden: 

Der Patient, korperlich anwesend, uberlasst dem Arzt physi- 
kalische personliche Patientenkarte, Arzt findet Kapsel(n) 
im Internet und offnet sie mit Patientenkarte (und Arzt- 
karte). Er tragt Behandlungstatsache und Behandlungster- 
min ein, macht eine lokale Kopie und verkapselt neu mit 
(zum Beispiel ihm bekannter oder unbekannter) neuer letz- 
ter Hash-Adresse und setzt die neue Kapsel wieder ins Inter- 
net ab. Wenn sich dabei die Hash-Adresse geandert hat, wer- 
den alle alten Kapseln durch Ausfiihrung entsprechend vor- 
zusehender Programmteile geloscht. Der Arzt arbeitet ab 
jetzt bis zu einem wichtigen Zwischenabschluss auf seiner 
lokalen Kopie und verwendet diese fur Uberweisungen und 
Teledienste. Der Patient kann sich mittels Authentifikation 
im Netz ausweisen. Der Nachtrag der Behandlungsergeb- 
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nisse auf der Patientenkarte muss separat erfolgen. Bei 
asymmetrischem Schliissel auch ohne Patientenkarte mog- 
lich, solange ihm gultige Hash-Adresse benannt und nicht 
verandert wird. 

[0026] In Fig, 4 sind die verschiedenen Dokumententypen 5 
der Gesundheitsakte nach Art ihrer Ermittlung und ihrer Be- 
deutung filr die Gesundheitsakte und auch im Hinblick auf 
die unterschiedlich hohen Verschlusselungs- und unter- 
schiedlichen Zugangsmoglichkeiten angedeutet Speziell 
die in der sogenannten Kapsel B gespeicherten Patientenda- 10 
ten - auch hier konnte es sich selbstverstandlich wieder um 
mehrere unterschiedliche Datenkapseln handeln - betreffen 
Daten, die weniger geheimhaltungsbediirftig sind und zu de- 
nen beispielsweise auch sogenannte Statistikdaten gehoren, 
die von entsprechenden Dienstleistem (gegen entspre- 15 
chende Vergiitung an den Patienten) jederzeit abrufbar sind. 
[0027] Der Weg bei einer Behandlung, Uberweisung oder 
Rezeptsteilung mithilfe von Chipkarten als Zugangskarten 
zur elektronischen personlichen Gesundheitsakte im Inter- 
net sind in Fig. 5 schematisch als Diagramm angedeutet, 20 
wahrend - wie bereits angesprochen - die Fig. 6 eine Chip- 
karte als personliche Zugangskarte des Patienten zu seiner 
elektronisch gespeicherten Gesundheitsakte anhand der gra- 
fisch angedeuteten verschiedenen Zugriffsmoglichkeiten 
naher erlautert. 25 
[0028] Um die personUche Gesundheitsakte fur Telemedi- 
zin zu verwenden, arbeitet der Arzt zum Beispiel mit den 
Daten aus seiner lokalen Kopie und mit der von ihm bevor- 
zugten Technik und verwendet diese fur die Teledienste. Der 
Patient kann sich mittels seiner Authentifikation im Netz 30 
ausweisen und somit mit Berechtigung an Telediensten teil- 
nehmen. 

[0029] Die personliche Patientenakte kann weitere Berei- 
che besitzen, in die Daten geschrieben werden konnen und 
aus denen Daten gelesen werden konnen, wobei diese Berei- 35 
che fur die Hash-Bildung ausgespart werden, sodass Daten- 
eintragungen in diese Bereiche zu keiner Veranderung der 
Hash-Adresse fiihren. Diese Bereiche konnen auch fur pri- 
vates Gesundheitsmanagement verwendet werden, sodass 
hier Messwerte aus Geraten und Daten von Labels von Me- 40 
dikamenten und Heil- und Hilfsmitteln eingetragen werden, 

Patentanspriiche 

1. Gesicherte elektronische Gesundheitsakte zur Ver- 45 
waltung aller gesundheitsrelevanten Daten, einschlieB- 
lich fruherer Diagnosen und Behandlungen, eines Pa- 
tienten im mehreren dezentralen Servem mit vom Pa- 
tienten freigebbaren Zugangsberechtigungen fur 
Dritte, dadurch gekennzeichnet, dass die Daten ohne 50 
jegliche Identifizierungsdaten bezuglich der zugeord- 
neten Person indexlos in einem Speichersystem mit 
vernetzten Servern, vorzugsweise verteilt, abgelegt 
sind, das keinen Bezug der Daten zum Patienten her- 
stellt und dass die Daten nur iiber Vorrichtungen oder 55 
Programme auffindbar und ablegbar sind, die jegliche 
Zugriffsspuren loschen. 

2. Gesundheitsakte nach Anspruch 1, dadurch gekenn- 
zeichnet, dass die Daten in Form von Datenpaketen 
(Daten-Kapseln) mit gegebenenfalls unterschiedlichen 60 
Zugriffscodes gespeichert sind. 

3. Gesundheitsakte nach Anspruch 1 oder 2, dadurch 
gekennzeichnet, dass die Daten in einem uberall ver- 
fugbaren Netzwerk, insbesondere im Internet gespei- 
chert sind, 65 

4. Gesundheitsakte nach einem der Anspriiche 1 bis 3, 
dadurch gekennzeichnet, dass die Daten ein einem zen- 
surresistenten Extra-Netz ("freenet") gespeichert sind. 
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5. Gesundheitsakte nach Anspruch 4, dadurch gekenn- 
zeichnet, dass das Extra-Netz so ausgebildet ist, dass 
die Daten-Kapseln selbstorganisiert an unterschiedli- 
che Server weitervermittelt und mehrfach identisch ab- 
gespeichert werden, sodass sich dabei moglicherweise 
auftretende Spuren verlieren und nicht zuriickverfolg- 
bar sind. 

6. Gesundheitsakte nach Anspruch 5, dadurch gekenn- 
zeichnet, dass der Patient durch Parameterisierung ei- 
nes Zahlers die Zahl der identischen Sicherheitskopien 
bestimmen kann. 

7. Gesundheitsakte nach einem der Anspriiche 1 bis 6, 
dadurch gekennzeichnet, dass die Daten verschliisselt 
abgespeichert sind. 

8. Gesundheitsakte nach Anspruch 7, gekennzeichnet 
durch die Verwendung asymmetrischer Schliissel. 

9. Gesundheitsakte nach Anspruch 8, dadurch gekenn- 
zeichnet, dass der private Schliissel oder das Schlussel- 
paar ein Bestandteil der personlichen Berechtigungsin- 
formation fur das Lesen des Inhalts auf dem personli- 
chen Teil einer gespeicherten Datenkapsel ist. 

10. Gesundheitsakte nach einem der Anspriiche 1 bis 

9, dadurch gekennzeichnet, dass die Zugriffscodes eine 
Hash-Adresse umfassen, die aus einem (aus definierten 
Bestandteilen der Patientendaten gebildeten) Hash- 
Code und weiteren Zeichen zur Erzeugung einer ein- 
deutigen Adresse gebildet ist. 

11. Gesundheitsakte nach einem der Anspriiche 1 bis 

10, dadurch gekennzeichnet, dass die Inhalte der Da- 
tenkapseln durch spezielle Unter-Zugriffscodes yon 
entsprechend autorisierten Dritten, zum Beispiel Arz- 
ten, Dienstleistern, Pharmafirmen oder dergleichen in 
begrenztem Umfang lesbar sind. 

12. Gesundheitsakte nach Anspruch 11, dadurch ge- 
kennzeichnet, dass Zugangseinrichtungen vorgesehen 
sind, die es ermdglichen, bestimmte Teile der Daten als 
Statistik-Daten zu extrahieren, zu erganzen, zu kombi- 
nieren und zu schematisieren. 

13. Gesundheitsakte nach Anspruch 12, dadurch ge- 
kennzeichnet, dass die anonymisierten Statistikdaten in 
eine spezielle Statistik-Kapsel eingegeben und gespei- 
chert werden, die mit einer global geltenden Kapsel- 
Adresse versehen ist. 

14. Gesundheitsakte nach einem der Anspriiche 1 bis 

13, dadurch gekennzeichnet, dass die Zugriffscodes in 
speziellen, vorzugsweise tragbaren Zugangsgeraten 
(wie zum Beispiel Karte, Handy, Uhr, Amulett oder 
dergleichen) implementiert sind, die ihrerseits durch 
ein Authentifizierungssystem gesichert sind. 

15. Gesundheitsakte nach einem der Anspriiche 1 bis 

14, dadurch gekennzeichnet, dass zumindest Teile der 
Patientenakten in Ablagevorrichtungen bei Arzten, 
Diensdeistem oder dergleichen gespeichert sind, die 
fur den Patienten zuganglich sind (und im Falle des 
Verlustes einer Kapsel- Adresse eine Rekonstruktion ei- 
ner neuen Datenkapsel aus diesen Kopien ermogli- 
chen). 
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